pyLoad : SSRF dans le point de terminaison d’API parse_urls via un paramètre URL non validé

La vulnérabilité CVE-2026-35187 dans pyLoad permet à un utilisateur authentifié disposant de la permission ADD d'effectuer des requêtes HTTP/HTTPS vers des ressources du réseau interne et des points de terminaison de métadonnées cloud. Cela est dû à un manque de validation d'URL dans la fonction parseurls située dans src/pyload/core/api/init.py. La fonction geturl(url) (pycurl) récupère des URL arbitrairement côté serveur sans restrictions de protocole ni listes noires d'IP. Un attaquant pourrait lire des fichiers locaux en utilisant le protocole file://, car pycurl lit le fichier côté serveur. L'impact principal est la possible exposition d'informations sensibles, l'accès non autorisé à des ressources internes et, potentiellement, l'exécution de code si combiné à d'autres vulnérabilités.

Organizations using pyLoad for download management, particularly those with internal networks accessible from the internet, are at risk. Shared hosting environments where multiple users have access to the pyLoad API are especially vulnerable, as a compromised user account could be used to exploit the SSRF vulnerability and access resources belonging to other users.

• python / server:

import requests
import re

def check_pyload_ssrf(url):
    try:
        response = requests.get(url, timeout=5)
        if response.status_code == 200:
            if re.search(r'file://', url) or re.search(r'gopher://', url) or re.search(r'dict://', url):
                print(f"Potential SSRF vulnerability detected: {url}")
            else:
                print(f"URL accessed: {url}")
    except requests.exceptions.RequestException as e:
        print(f"Error accessing {url}: {e}")

# Example usage (replace with actual API endpoint)
api_endpoint = "http://your-pyload-server/api/add"

# Test with potentially malicious URLs
check_pyload_ssrf("file:///etc/passwd")
check_pyload_ssrf("gopher://127.0.0.1/some_internal_service")

1. 2026-04-06Disclosure

   disclosure

1. Réservé2026-04-01
2. Publiée2026-04-06
3. Modifiée2026-04-07
4. EPSS mis à jour2026-04-14

La solution pour CVE-2026-35187 consiste à mettre à jour pyLoad vers la version 0.5.0b3.dev96 ou ultérieure. Cette version corrige la vulnérabilité en implémentant la validation d'URL et les restrictions de protocole dans la fonction parse_urls. En attendant, comme mesure temporaire, il est recommandé de restreindre l'accès des utilisateurs authentifiés disposant de la permission ADD au réseau interne et aux points de terminaison de métadonnées cloud. Il est également crucial de revoir et d'auditer les permissions des utilisateurs dans pyLoad afin de minimiser le risque d'exploitation. Surveiller les journaux du serveur à la recherche d'activités suspectes liées aux requêtes d'URL peut également aider à détecter et à répondre à d'éventuelles attaques.